Jaga üht VPN-ühendust kõigi oma LAN-seadmetega

Tunneli jagamine nõuab edasisaatmist, tõlkimist ja tagasiteed. Võrdle hosti jagamist, ruuteri marsruuti selle hostini ja lüüsi, millele tunnel kuulub.

Üks sülearvuti hoiab tunnelit, ülejäänud maja tahab sama juurdepääsu ja esimene katse on suunata kõik ühendatud masinale. See ebaõnnestub põhjustel, millel pole VPN-iga mingit seost: vastuvõttev host peab paketi edasi saatma, selle allika ümber kirjutama ja veenduma, et vastused leiaksid tee tagasi. Kui üks kolmest puudub, töötab ühendatud sülearvuti edasi, samal ajal kui iga teine seade saab ajutõrke. Lahendus on marsruutimise kujundus, mitte kliendi seade.

Miks seadmete suunamine hostile ebaõnnestub

Host, mis saab kaugvõrku adresseeritud paketi, muutub selleks hetkeks ruuteriks, olenemata sellest, kas keegi seadis selle nii või mitte. Edasisaatmine on Linuxis ja Windowsis vaikimisi väljas, kui mõni funktsioon seda sisse ei lülita. Tõlkimine on tähtis, sest kaugpool peab teadma, kuhu vastused saata, ja privaatne LAN-aadress ei tähenda sellele midagi. Tagasitee on kolmas osa ja just see ununeb, kui esimene ping tundub õnnestuvat.

Diagnoosi selles järjekorras, mitte lülita seadeid juhuslikult. Iga puuduv osa tekitab veidi erineva sümptomi.

Lülita hostis sisse edasisaatmine ja tõlkimine

Kaks muudatust ühendatud hostis katavad esimesed kaks osa: lülita sisse IPv4 edasisaatmine ja tõlgi LAN-liiklus tunneli liidesele.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Salvesta sysctl väärtus faili asukohas /etc/sysctl.d ja kontrolli MASQUERADE reeglit uuesti pärast taaskäivitust, sest tulemüüri esiosad võivad kohandatud ahelad tühjendada. Windowsis teeb jagamisfunktsioon mõlemad sammud, kuid adresseerib ka LAN-adapteri ümber fikseeritud alamvõrku ja kustutab selle lüüsi, mis rikub staatilise adresseerimise ja pordi edasisaatmise. Taasta ruuteri tee hostini selle uuel aadressil, enne kui järeldad, et jagamine ebaõnnestus. Seejärel jälgi, kuidas reeglite loendurid kasvavad, kui teine seade liiklust saadab.

Anna LAN-ile tee, mis elab üle taaskäivitused

Teistel seadmetel on vaja marsruuti kaugprefiksini ja kaks viisi selle pakkumiseks erinevad mõjualalt.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Kliendi vaikelüüsi suunamine hostile saadab kogu selle liikluse hosti kaudu, sealhulgas kohaliku printimise ja failijagamise, nii et seosetud asjad peatuvad, kui host magab. Konkreetse marsruudi lisamine ruuterile kaugprefiksi jaoks on kitsam: ainult tunneli taga olevad sihtkohad lähevad ühendatud masinale ja ülejäänud LAN töötab edasi. Ülaltoodud alamvõrgud on näited, seega asenda need oma LAN- ja tunnelivahemikega. Igal juhul testi teisest seadmest, kui tunnel on üleval ja seejärel maas.

Jälgi MTU-d, enne kui tunnelit süüdistad

Tunnelid vähendavad kasutatavat paketi suurust ja teine seade ei tea sellest midagi. Suured ülekanded ja TLS-kätlused takerduvad, samal ajal kui väikesed päringud õnnestuvad.

ping -M do -s 1400 10.8.0.5

Vastus tõestab, et see suurus läbib tee fragmenteerimata; ajutõrge tähendab, et kapseldamise üldkulud lükkasid paketi üle tunneli MTU. Langeta MTU jagamisliidesel või piira maksimaalset segmendi suurust edasisaatjal, seejärel korda sama katset. Testi sama suurust kõigepealt LAN-i poolel, sest kohalik tõrge osutab LAN-ile, mitte tunnelile. Kirjuta üles töötav suurus, sest hilisem teenusepakkuja või tunneli muudatus võib seda nihutada.

Ühe lisaseadme jaoks piisab hosti jagamisest. Majapidamise jaoks pane marsruut ruuterile. Kui juurdepääs peab jääma püsima, kui sülearvuti koos sinuga lahkub, kuulub tunnel ise eraldi lüüsile.

Seotud artiklid